昨晚笑 PHP 的, 今天可以笑 Java 了 🤪

[GodSppp]

今天 Oracle 也发布了一个 CVE 漏洞: https://www.oracle.com/security-alerts/alert-cve-2026-91403.html

[longaiwp]

不就是阿三的证书那回事，这个问题好修得很。

[xFrye]

不是一个级别的吧

[cynoa]

印度证书机构 eMudhra 的 8 张中间证书私钥随机性极弱，只有 256 种可能，几秒即可穷举还原。攻击者可借此冒充该机构，为任意网站签发看起来合法的 HTTPS 证书，用于伪造网站或窃取用户数据。 实际上所有的系统都会受到影响，比如安卓，iOS ，Windows ，Linux 等。

[SnowyParadise]

所以要把英语从主课中删除

[Fistandantilus]

你大概就只看得懂 CVE 三个字母了，根本没明白里面在讲什么

[jerseyhero]

怎么修复呢？有木有大佬贴个分享

[dcsuibian]

不知道 php 是啥，但是这个我感觉影响没那么严重，他是 Java 方主动发出请求，而且还得被插入到网络链路里搞中间人攻击

[mmdsun]

很多 PHP 现在都往 Java 或者 Go 转了。
Java 上一个严重的漏洞是 Log4j ，还是第三库的漏洞和 Java 语言无关。

[msg7086]

@mmdsun log4j 和 jackson ，我们接触最多的洞王。

[ntdll]

唔，几乎所有 Java 程序都是服务端运行，所以这个 CVE ，在笑什么呢。

和 PHP 那个 CVE 的杀伤力完全不是一个级别呀。

[Plutooo]

结合你这个帖子，昨天的 php 显得更好笑了

[deetincelle]

国内的 PHP 早就转 java 了吧

[oakleycc]

PHP 的严重一些，JAVA 也就是劫持流量

[vast0906]

php 蹲 php 蹲 php 蹲完 java 蹲，java 蹲 java 蹲 java 蹲完 nodejs 蹲

[adoal]

不是一个级别的事儿

[yungo8]

java 同类严重的应该是很多年前的 struts 漏洞

[NESeeker]

phper belike

[explore365]

-----BEGIN RSA PRIVATE KEY-----
4
-----END RSA PRIVATE KEY-----

[calabashfox]

暴露水平了

[Sezxy]

注意一点，如果你的 java 服务不提供 tls ，前面有一层 nginx ，入站这块就基本没影响
出站的注意下，对不明的网站不要主动访问

[3392417]

php 好笑的主要原因，还是有那帮 phper

[afeiche]

这个和 java 也没有关系啊，不过是 oracle 发了个公告而已，感觉最近几年 java 还是挺安稳的

[liaohongxing]

这个就是阿三的证书问题，那个是内置根证书，像 jdk 这种就需要发版本吊销。而像浏览器这种，能在线吊销的就被在线吊销了，不用发版本。那个证书问题，中国影响不大，中国基本不用这个三哥的证书。

[MelodYi]

@msg7086 jackson 没有 fastjson 漏洞多吧

[msg7086]

@MelodYi 那就不清楚了，我们没用 fastjson 。但反正反序列化一直是漏洞高发地……

[realpg]

@liaohongxing #23

"那个证书问题，中国影响不大，中国基本不用这个三哥的证书。"

如果你对证书的理解只是知道证书俩字，不建议你下这么牛逼的结论